sdl安全工程师岗位职责

岗位职责及目标
1. 负责应用的安全开发生命周期（SDLC），包括安全测试、威胁建模、产品架构设计；
2. 熟悉主流应用框架的风险点和安全方案，根据业务需要提供支持；
3. 参与应用安全产品的能力建设，运营工作；
4. 输出及维护统一的安全解决方案，并能够推动方案的落地。

任职要求
1. 3-5年以上互联网行业产品安全建设经验；
2. 熟悉java、go、nodejs至少一门语言，能够独自完成源码审计工作，并熟悉spring系列以及主流框架的风险和安全实践；
3. 有越权漏洞检测治理、黑盒产品建设运营经验；
4. 对可信计算、认证、鉴权、加密、攻击缓解措施、纵深防御等在软件安全设计领域落地有独到理解；
5. 有框架层漏洞挖掘经验者优先。

【岗位职责】
1、统筹并参与公司SDL（软件安全开发生命周期）全流程的设计、从0-1落地及日常维护，主导SDL平台搭建（含代码审计、SCA、漏洞扫描等工具的选型与实操），推动安全活动嵌入研发各环节；
2、负责执行产品安全需求分析、安全设计及威胁建模，参与产品设计方案的安全评审，输出可落地的风险改进建议；
3、主导代码审计工作，覆盖主流技术栈（如Go/PHP/Js），识别代码中的安全漏洞并提供具体修复方案，同步梳理审计流程与规范；
4、统筹安全流程与规范的制定、优化，包括但不限于安全开发、测试、验收等环节的标准，推动全员执行；
5、参与DevSecOps体系建设，协助搭建支撑安全流程的工具平台，推动自动化检查机制落地，兼顾执行层的工具配置与日常运维；
6、协助统筹日常安全运营，包括漏洞管理、安全基线检查、应急响应等，同时参与具体安全事件的分析与处置；
7、配合公司信息安全项目推进，参与风险评估与合规性检查，结合业务提出改进方案并跟进执行。

【任职要求】
1、本科及以上学历，计算机、网络安全、信息安全等相关专业，5 年及以上的安全工作经验，具备SDL从0-1实操落地经验；英语CET-4加分
2、熟悉Go/PHP等至少一种开发语言，JAVA也可以考虑，深入理解对应技术栈的安全漏洞原理、利用方式及修复方案，具备代码审计实操经验；
3、有安全流程梳理、规范制定经验，熟悉SDL全流程，能独立设计适配业务的安全活动节点；
4、掌握威胁建模方法与工具，具备安全需求分析、安全设计及评审经验，能从产品全生命周期识别安全风险；
5、熟悉主流代码审计工具、漏洞扫描工具及SCA工具的使用，有安全工具平台搭建或优化经验者优先；
6、了解常见网络攻击原理与防御手段，有应急响应、安全事件处置经验者优先；
7、持有CISP、CISSP等安全认证者优先，具备一定的跨部门沟通与统筹协调能力。

岗位职责：
一、渗透测试与漏洞挖掘
1、定期执行Web应用、移动端（iOS/Android）、API、内网系统的渗透测试，识别业务逻辑漏洞、配置缺陷及高危漏洞（如SQL注入、XSS、RCE等）；
2、主导红队演练，模拟APT攻击路径，提供攻击链（Kill Chain）分析报告及防御加固方案；
3、跟踪新兴攻防技术（如云安全、容器逃逸、供应链攻击），设计针对性测试方案；
二、安全运营与应急响应
1、负责SIEM/SOC平台的日常监控，分析安全告警（如EDR、WAF、IDS日志），识别真实攻击并快速响应处置；
2、主导安全事件（如勒索病毒、数据泄露）的应急响应，包括溯源分析、攻击阻断和修复方案落地；
3、优化安全运营流程（如SOAR剧本开发），提升威胁检测与自动化响应效率。
三、安全加固与架构评审
1、参与SDL流程建设，对新产品架构设计、代码部署方案进行安全评审，提出风险控制建议；
2、制定云环境（AWS/Azure/GCP）安全基线标准，落地容器/K8s安全加固策略；
3、推动漏洞修复闭环，跟踪高危漏洞整改及验证修复有效性；
四、攻防能力建设
1、研究攻击者TTPs（Tactics, Techniques, Procedures），开发威胁检测规则（YARA/Sigma）；
2、构建内部漏洞POC库与渗透测试知识库，赋能团队技术沉淀；
3、参与攻防演练（如护网行动） ，主导防守方案设计与实施。

任职要求：
1、统招全日制本科，3年以上网络安全领域经验，同时具备渗透测试与安全运营实操背景；
2、精通渗透测试方法论：熟练使用Burp Suite、Metasploit、Nmap、Cobalt Strike等工具链；
3、深入理解OWASP Top 10、CVE漏洞原理及绕过技术（如WAF绕过、免杀技术）；
4、熟悉安全运营技术栈：具备SIEM（如Splunk/Elastic）、EDR（如CrowdStrike/SentinelOne）、NDR告警分析经验；掌握ATT&CK框架在威胁狩猎中的应用；
5、熟悉至少一种云平台安全架构（AWS Security/Azure Security Center/GCP SCC）；
6、具备脚本开发能力（Python/PowerShell/Shell），可编写自动化工具或日志分析脚本。

软性能力：
1、能够独立研判高风险安全事件，并在压力下完成应急响应；
2、具备清晰的攻防逻辑思维，能将攻击手法转化为防御策略；
3、优秀的报告撰写能力，可向技术团队与管理层同步风险信息。

加分项：
1、OSCP/OSCE/OSEP、CISSP、GIAC（GCIH/GXPN）等认证；
2、开源安全工具贡献者或漏洞平台致谢记录（CVE/CNVD）；
3、大型攻防演练（如护网、HVV）攻防经验；
4、具备区块链攻防经验。